Provvedimenti ex art. 110 del Codice n. 300 del 24/04/2024

Azienda Ospedaliero-Universitaria Careggi: studio osservazionale retrospettivo sul tumore fibroso solitario

Il Garante per la protezione dei dati personali esamina l’istanza di consultazione preventiva presentata dall’Azienda Ospedaliero-Universitaria Careggi per la realizzazione dello studio osservazionale, retrospettivo, monocentrico e no-profit "Tumore Fibroso Solitario: fattori prognostici fra valutazione istopatologica e nuovi approcci di diagnostica biomolecolare (22803)". Il procedimento riguarda il trattamento di dati sulla salute e di dati genetici relativi a pazienti, inclusi soggetti deceduti o non contattabili.

Origine del procedimento e quadro normativo

L’istanza è stata presentata ai sensi degli artt. 110 del Codice privacy e 36 del GDPR, in quanto lo studio coinvolge dati di pazienti per i quali non è possibile acquisire il consenso. Il Garante richiama inoltre l’art. 35 GDPR sulla valutazione d’impatto, le Regole deontologiche per trattamenti a fini statistici o di ricerca scientifica e le Prescrizioni sui dati genetici e sulla ricerca scientifica.

Caratteristiche dello studio e dati trattati

Secondo il protocollo, lo studio ha durata di 1 anno e coinvolge circa 30 pazienti trattati tra il 2002 e il 2020 presso la struttura dell’Azienda. L’analisi utilizza campioni tissutali già disponibili, provenienti da biopsie o interventi chirurgici, per correlare i dati omici con gli esiti clinici.

I dati trattati comprendono, tra gli altri:

• dati anagrafici;
• diagnosi oncologica, data e stadiazione;
• sede e caratteristiche del tumore;
• trattamenti effettuati;
• status oncologico al follow-up;
• dati molecolari delle indagini sul campione;
• patologie concomitanti;
• data di diagnosi del tumore.

I dati confluiscono in un database RedCap ospitato sul server aziendale, con accesso tramite credenziali personali, tracciatura degli accessi e pseudonimizzazione mediante codice numerico progressivo.

Basi giuridiche e impossibilità di acquisire il consenso

Per i pazienti che possono essere informati, il trattamento si fonda sul consenso ex art. 9, par. 2, lett. a) GDPR. Per i pazienti deceduti o non contattabili, l’Azienda invoca l’art. 110, comma 1, secondo periodo, del Codice, sottoponendo il protocollo alla consultazione preventiva dell’Autorità.

Il Garante ritiene corretta tale impostazione, osservando che l’impossibilità di contattare gli interessati è giustificata dalla natura retrospettiva dello studio, dall’elevata incidenza di mortalità della patologia e dall’irreperibilità di una quota stimata del 5-8% dei pazienti, nonostante i tentativi di contatto tramite documentazione clinica, recapiti telefonici e anagrafe degli assistiti o della popolazione residente.

Parere del comitato etico

Nel corso dell’istruttoria non risulta trasmesso il parere del comitato etico territorialmente competente. Il Garante precisa però che, per i trattamenti relativi ai soggetti per i quali non è possibile acquisire il consenso, l’Azienda potrà avviare lo studio solo dopo il rilascio del parere favorevole del comitato etico, quale condizione di liceità e correttezza del trattamento.

Trasparenza e informative

L’Azienda ha previsto che, nei casi in cui non sia possibile contattare gli interessati, l’informativa sia pubblicata sul sito istituzionale. Il Garante considera idonea questa soluzione per garantire la trasparenza in uno studio monocentrico, richiamando l’art. 14 GDPR e l’art. 6, comma 3, delle Regole deontologiche.

Tuttavia, le informative trasmesse devono essere aggiornate e integrate, perché non riportano in modo adeguato:

• il trattamento di dati genetici;
• i risultati inattesi o incidentali;
• la facoltà dell’interessato di limitare l’ambito di comunicazione dei dati genetici e l’eventuale ulteriore utilizzo;
• le modalità con cui l’interessato può accedere alle informazioni contenute nel progetto di ricerca.

Conservazione dei dati e minimizzazione

Nel corso dell’istruttoria l’Azienda ha modificato il periodo di conservazione dei dati da 7 a 5 anni dalla conclusione dello studio. Il Garante ritiene tale termine proporzionato agli obiettivi della ricerca, anche per consentire eventuali rivalutazioni e approfondimenti successivi alla pubblicazione dei risultati.

Sul piano della minimizzazione, l’Azienda utilizza una pseudonimizzazione tramite codice progressivo non identificativo e conserva separatamente la chiave di re-identificazione. È prevista anche una doppia verifica del dato al momento dell’inserimento nel database. Il Garante, pur prendendo atto di tali misure, ritiene opportuno rafforzare l’esattezza dei dati con un meccanismo ulteriore: una volta completata la raccolta, il foglio Excel deve essere firmato digitalmente tramite hash, con firma detenuta da soggetto diverso da chi inserisce i dati, e da ripetere se necessario in caso di modifiche o migrazioni.

Dati genetici e misure di sicurezza

Lo studio comporta anche trattamento di dati genetici. Il Garante ritiene che le misure descritte dall’Azienda per la custodia e sicurezza dei campioni e dei dati siano, in linea generale, conformi alle Prescrizioni sui dati genetici:

• accesso ai locali secondo procedura documentata e con identificazione delle persone autorizzate;
• conservazione, utilizzo e trasporto dei campioni con modalità idonee a garantirne qualità, integrità, disponibilità e tracciabilità;
• consultazione dei dati tramite strumenti elettronici con sistemi di autenticazione.

Tuttavia, tali misure non erano adeguatamente descritte nella valutazione d’impatto, che deve quindi essere integrata con una sezione specifica sui dati genetici e sui rischi connessi.

Anonimizzazione, diffusione dei risultati e rischio di re-identificazione

L’Azienda ha dichiarato che i risultati saranno diffusi in forma aggregata. Il Garante rileva però che non è chiarito cosa accadrà ai dati personali al termine del periodo di conservazione di 5 anni, né sono indicate misure sufficienti per prevenire il rischio di re-identificazione in caso di condivisione scientifica o di conservazione prolungata.

Per questo l’Autorità richiede che siano implementate tecniche di anonimizzazione e aggregazione che evitino singolarità e single-out, e che l’Azienda:

• rimuova eventuali singolarità emerse successivamente;
• tracci tali eventi;
• rivaluti il rischio di re-identificazione in presenza di nuove criticità.

Valutazione finale e prescrizioni

Il Garante esprime un parere favorevole condizionato al trattamento dei dati personali per lo studio, ai sensi dell’art. 110 del Codice e dell’art. 36 GDPR, subordinandolo a cinque condizioni principali:

• firma digitale/hash del foglio Excel con soggetto diverso da chi raccoglie i dati;
• integrazione della DPIA con una sezione sui dati genetici e sulle misure adottate;
• integrazione delle informative ex artt. 13 e 14 GDPR con i contenuti richiesti dalle Prescrizioni sui dati genetici;
• adozione di tecniche di anonimizzazione e aggregazione adeguate in caso di diffusione o conservazione oltre il periodo previsto;
• rimozione delle singolarità eventualmente sopravvenute, con tracciamento e nuova valutazione del rischio di re-identificazione.

Tutela giurisdizionale

Avverso il provvedimento è possibile proporre ricorso all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice e 10 del d.lgs. 150/2011, entro 30 giorni dalla comunicazione, o entro 60 giorni se il ricorrente risiede all’estero.